MCP 서버 결제 의무, x402 v2 기준 제시

x402 v2(2025년 12월 출시)와 MCP 2026-07-28 사양의 통합으로 AI 에이전트 거래에서 인프라가 가격을 능동적으로 인식하고 집행해야 하는 새로운 패러다임이 도입됐다. x402 v2는 결제 데이터를 HTTP 헤더(PAYMENT-REQUIRED, PAYMENT-SIGNATURE, PAYMENT-RESPONSE)로 이동하고, MCP 2026-07-28는 세션 ID를 제거하고 명시적 라우팅 헤더(Mcp-Method, Mcp-Name)를 사용한다. 핵심 과제는 지출 한도를 누가 결정하며 서버가 이를 어떻게 검증할지 정의하는 것이다.

유료 도구 호출의 4가지 결정 지점

단순 도구 호출에서 유료 실행으로 전환되면서 결정 프로세스는 각기 다른 실패 모드를 가진 4개 계층으로 나뉜다.

• 작업 내용: 에이전트/모델이 결정. 실패 시 계획 부실이나 저비용 시도 낭비 발생.
• 요청 주체: ID 제공자 또는 게이트웨이가 검증. 실패 시 무단 또는 범위 외 접근 허용.
• 비용: 서버가 인자에 따라 계산. 실패 시 과다 또는 과소 결제 발생.
• 허용 여부: 에이전트와 독립적인 예산 권한이 결정. 실패 시 에이전트가 설득이나 프롬프트 주입으로 지출 한도를 조작할 수 있음.

문서는 네 번째 결정인 예산 권한이 에이전트 컨텍스트와 격리되어야 함을 강조한다. 위협 모델은 에이전트 프로세스와 입력(프롬프트, 도구 출력)을 적대적으로 간주하며, 가격 허위 보고, 잘못된 수취인 지정, 권한 재사용을 시도할 수 있다고 가정한다. 게이트웨이와 서버는 정직하지만 실수할 수 있는 것으로 간주된다.

엔터프라이즈 MCP 서버의 5가지 의무

결제 흐름을 보호하기 위해 서버는 프로토콜 준수 이상의 5가지 엄격한 의무를 따라야 한다.

1. 가격 검증: 서버는 현재 인자에 따라 가격을 재계산하거나 이전 견적(리소스, 인자, 조건, 만료일)의 바인딩을 검증해야 한다. 클라이언트가 제시한 가격은 절대 신뢰하지 말 것.
2. 무료 발견: tools/list 엔드포인트의 비용은 0이어야 하며, 이를 통해 에이전트가 구매 전 옵션을 비교할 수 있게 한다.
3. 명시적 재사용 거부: 서버는 모든 인스턴스에서 권한 사용 현황을 원자적으로 추적하고, 유효 기간 동안 기록을 보존하며, 정산 실패 시 멱등적 재시도 로직을 정의해야 한다.
4. 로컬 수취인 강제: 서버는 권한 요청에 지정된 수취인을 무시하고 자체 설정된 주소를 결제에 사용해야 한다.
5. 바인딩 공개: 서버는 HTTP 또는 MCP 바인딩 지원 여부와 테스트된 클라이언트를 명시적으로 선언해야 한다.

구현 및 보안 패턴

문서는 지출 허가를 두 개의 독립적인 주요 소스, 즉 권한 서비스와 아웃바운드 집행 지점을 사용하여 평가하는 패턴을 강조한다. 권한 서비스는 작업 자체가 아닌 작업의 정준 다이제스트를 포함하는 짧은 수명의 서명된 영수증을 발급한다. 아웃바운드 지점은 실제 전송되는 바이트에서 다이제스트를 재계산하여 영수증과 비교한다. 이를 통해 에이전트가 승인 후 요청을 수정하더라도 수정된 작업과 일치하는 유효한 영수증 없이는 집행 지점을 통과할 수 없다.

주요 기술 세부 사항:

• x402 v2 변경 사항: 가격 필드가 maxAmountRequired에서 amount로 변경됨. 네트워크 식별자는 이제 CAIP-2(예: eip155:84532)를 사용한다.
• MCP 2026-07-28 변경 사항: 세션 제거(Mcp-Session-Id 폐기됨). MCP-Protocol-Version 헤더를 통해 버전 관리.
• 검증 순서: 저비용에서 고비용 순으로 진행: 버전 -> 형태 -> 스킴/네트워크 -> 자산 -> 수취인 -> 금액 -> 논스 -> 만료일 -> 서명 복원.
• 재사용 방지: 메모리 내 논스 집합은 프로덕션에 부적합. 서버 인스턴스 간 이중 결제를 방지하기 위해 분산 원자적 추적이 필요하다.

문서는 x402 v2와 MCP 2026-07-28가 가격 신호와 라우팅 메커니즘을 제공하지만, 예산 한도 정의 및 집행 책임은 여전히 개발자와 운영자의 중요한 과제라고 결론짓는다.